De Ierse Data Protection Commission (DPC) heeft bekendgemaakt dat LinkedIn Ireland Unlimited Company (LinkedIn) een boete van €310 miljoen opgelegd krijgt wegens schendingen van de AVG. Dit besluit volgt op een onderzoek dat de DPC, als leidende toezichthouder voor LinkedIn binnen de EU, startte na een klacht van de Franse privacyorganisatie La Quadrature du Net, die oorspronkelijk bij de Franse toezichthouder was ingediend.
De zaak draaide om de manier waarop LinkedIn persoonlijke gegevens verwerkte voor gedragsanalyse en gerichte advertenties. Deze gegevens waren afkomstig van gebruikers die zelf een profiel op het platform hebben aangemaakt (eigen data), maar ook van derde partijen (derdepartijen-data). De beslissing van de DPC werd genomen door Commissarissen Dr. Des Hogan en Dale Sunderland en op 22 oktober 2024 aan LinkedIn meegedeeld. De DPC oordeelde dat de verwerking niet in overeenstemming was met de beginselen van rechtmatigheid, eerlijkheid en transparantie, zoals vereist door de AVG.
Artikel 6 AVG en Artikel 5(1)(a) AVG: LinkedIn bleek geen geldige juridische grondslag te hebben voor de verwerking van persoonsgegevens. Het bedrijf kon niet aantonen dat gebruikers op een geldige manier toestemming hadden gegeven (Artikel 6(1)(a) AVG), dat de verwerking noodzakelijk was voor de uitvoering van een contract (Artikel 6(1)(b) AVG), of dat er sprake was van een gerechtvaardigd belang (Artikel 6(1)(f) AVG). LinkedIns belangen werden volgens de toezichthouder overschaduwd door de rechten en vrijheden van de gebruikers.
Artikelen 13(1)(c) en 14(1)(c) AVG: LinkedIn bood onvoldoende informatie over de juridische grondslagen die het bedrijf voor de verwerking van persoonsgegevens gebruikte, zoals vereist voor transparantie.
Principe van eerlijkheid: De DPC wees erop dat LinkedIn niet voldeed aan het AVG-beginsel van eerlijkheid, wat betekent dat data niet op een oneerlijke, onverwachte of misleidende manier mag worden verwerkt.
Graham Doyle, plaatsvervangend commissaris van de DPC, benadrukte dat “de rechtmatigheid van gegevensverwerking een fundamenteel aspect is van de AVG. Verwerking zonder geldige juridische basis vormt een ernstige schending van het fundamentele recht op gegevensbescherming van de betrokkenen.”
In een verklaring aan TechCrunch laat een woordvoerder van LinkedIn weten dat het bedrijf van mening is dat het de AVG niet heeft geschonden. "Desondanks zijn we bezig om ervoor te zorgen dat ons advertentiebeleid tijdig voldoet aan het besluit van de DPC."
De DPC zal het volledige besluit en nadere informatie binnenkort openbaar maken. Het besluit omvat naast de boete een officiële waarschuwing en een verplichting voor LinkedIn om zijn dataverwerkingspraktijken aan te passen aan de AVG.
Het onderzoek naar LinkedIn startte in augustus 2018, toen de Franse privacyorganisatie La Quadrature du Net de klacht indiende bij de Franse privacywaakhond, die het later doorverwees naar de DPC. In het besluit werd uiteengezet dat LinkedIn geen rechtmatige grondslag kon aantonen voor het verzamelen en analyseren van gegevens van gebruikers voor advertentiedoeleinden, waarbij zowel directe data van gebruikers als data van derden werden verwerkt.
De DPC neemt het LinkedIn kwalijk dat het de transparantie-, eerlijkheids- en rechtmatigheidsbeginselen van de AVG heeft geschonden. Hierdoor heeft LinkedIn gebruikers onvoldoende zeggenschap gegeven over de verwerking van hun persoonsgegevens. Dit gebrek aan controle zou gebruikers beperken in hun mogelijkheid om andere AVG-rechten uit te oefenen, wat uiteindelijk hun privacy en gegevensbescherming schaadt.
